Dockerが、AIコーディングエージェントを安全に自律実行させるための新機能「Docker Sandboxes」を公開しました。エージェントごとに使い捨てのmicroVM（軽量な仮想マシン）を割り当て、ホスト側のファイルシステムには一切触れさせない仕組みです。Claude CodeやGemini CLI、Codexなど主要なエージェントツールに標準対応しており、Hacker Newsでは1位を獲得するなど開発者コミュニティの関心を集めています。
背景と文脈
近年のAIコーディングエージェントは、パッケージのインストールや設定ファイルの書き換え、コンテナの起動まで自律的にこなせるようになりました。しかしこの自律性は諸刃の剣です。一つひとつの操作を人間が承認していては速度が落ちますが、逆に無条件で実行を許可すれば、ホストマシンの設定を壊したり、意図しないファイルを削除したりするリスクを抱え込みます。
多くの開発者は、この速度と安全性のトレードオフに悩まされてきました。一部のツールには全操作を許可する「YOLOモード」的なフラグが用意されていますが、これを自分の開発マシン上でそのまま使うのは危険が伴います。仮想マシン(VM)でエージェントを隔離する手も以前から存在しましたが、起動が遅く、日常的な開発ワークフローに組み込むには扱いづらいものでした。結局、多くの現場では「面倒でも一つずつ確認する」運用に落ち着き、エージェントの自律性を十分に活かせていないケースも少なくありませんでした。
Docker Sandboxesは、このジレンマそのものへの回答として位置づけられています。エージェントに全権限を与えつつ、被害範囲を隔離環境の中に閉じ込めることで、速度と安全性のどちらも犠牲にしない設計を狙っています。コンテナ技術で培ってきたDockerの知見を、AIエージェント時代の安全確保にそのまま転用した格好です。
技術/ビジネス面
Docker Sandboxesの仕組みはシンプルです。エージェントごとに専用のmicroVMを立ち上げ、その中にプロジェクトのワークスペースだけをマウントします。ホスト側のファイルシステムには触れられず、ネットワークアクセスも設定で制御可能。認証情報もサンドボックス内で隔離して扱われます。
エージェントはこの隔離環境の中でなら、パッケージのインストールや設定変更、Dockerコンテナの起動まで、権限確認なしに自由に実行できます。作業が終われば、サンドボックスはコマンド一つで使い捨てにできるため、汚れた状態を次回に持ち越す心配もありません。従来型のVMより起動が速い点も、日常使いに向く理由の一つです。
対応エージェントはClaude Code、Gemini CLI、Copilot CLI、Codex、OpenCode、Kiroなど主要どころを幅広くカバーしており、独自エージェントの追加設定にも対応します。導入はmacOSならbrew install docker/tap/sbx、Windowsならwinget install Docker.sbxと手軽です。無償のコア機能に加えて、ネットワークポリシーやファイルアクセス制御を組織単位で一元管理できる有償の「Docker AI Governance」も用意されており、チーム導入も視野に入れた設計になっています。
これからどうなるか
コーディングエージェントの実行環境をどう安全に確保するかは、多くのチームが手探りで対応してきた課題です。Docker Sandboxesを使えば、いちいち許可を確認しながらエージェントを見張る必要がなくなり、コードレビューや設計といった、人間にしかできない作業に時間を使いやすくなります。既存のCI環境やdevcontainer設定を持つチームなら、その資産を活かしたまま導入できる点も実務上のメリットです。
一方で、隔離環境を過信せず、機密性の高い認証情報やデータを扱う場合はネットワーク制御を明示的に絞るなど、設定の作り込みは依然として開発者側の責任です。E2BやModalといった既存のサンドボックス系サービスとの使い分けも、今後の検討ポイントになりそうです。エージェントが「何でもできる」状態を安全に用意できるインフラは、今後のAI駆動開発の標準装備になっていく可能性があります。
まとめ
DockerがAIコーディングエージェント向けの使い捨てmicroVM環境「Docker Sandboxes」を公開しました。ホストを守りながらエージェントに全権限を与えられる設計で、Claude CodeやCodexなど主要ツールに標準対応しています。速度と安全性を両立させたい開発者にとって、有力な選択肢の一つになりそうです。
参考リンク
アイキャッチ画像: Photo by Elena Mozhvilo on Unsplash
